Binance раскрыла, как у неё увели $6,34 млрд: никакой шпионки из КНДР — виноват оказался вайбкодинг и фальшивые рекрутеры 🤬

К атаке хакеры готовились пять месяцев. Рассказываю хронологию этого цирка:

— Июнь. DevOps-инженер Binance решил установить популярный ИИ-инструмент для кодинга. Нашёл инструкцию в поисковике, скачал подменённый установщик Homebrew и подцепил вредонос. Служба безопасности заметила заражение, заменила компьютер и сбросила учётные данные. Но хакеры уже знали, кто отвечает за кошельки.

— Сентябрь. Другого инженера заманили на два фальшивых собеседования с HR и «директором». Под видом тестового подсунули репозиторий с вирусом, подменявшим pyenv. Антивирус промолчал.

— 20 октября. Через заражённый ПК и внутренний ИИ атакующие добрались до коллег и токена развёртывания контейнеров.

— 29 октября. Захватили сервис подписи транзакций и увели 18 270 BTC, 233 млн XRP и почти миллион SOL.

Самое безумное началось, когда Binance попыталась остановить атаку: биржа отключила выводы, но через Ethereum EIP-7702 хакеры продолжили уводить деньги.

И отдельная красота: за 2026 год безопасники Binance отразили 57 предполагаемых северокорейских атак.

А потом кто-то просто согласился выполнить тестовое задание... 😂

Заметка на будущее: продолжать не доверять ИИ.

Разработчик попросил GPT-6 Sol перезагрузить сервер, а тот просто… сломал монтирование дисков, systemd и контейнеры. Ещё и запустил какие-то левые скрипты.

Вайбкодер настолько офигел был а шоке от этого, что открыл issue и оценил ущерб более чем в $10 тысяч. Codex же признал, что не имел полномочий вносить такие изменения, но что он теперь может… В общем, денек явно у парня не задался.

Ночной кошмар вайбкодеров 👻

Вайбкодим собственную пиксельную игру: принес сразу два бесплатных инструмента для создания ретро-игр!

— Pyxel — простой игровой движок на Python со встроенными редакторами графики, карт и звуков. Можно рисовать персонажей, собирать уровни, прописывать управление, движения и игровую логику. А ещё есть готовые примеры игр, чтобы не начинать с нуля.

— PixelFX — библиотека из 244 готовых пиксельных эффектов: взрывы, огонь, молнии, магия, погода и анимации самих персонажей. Всё можно настраивать, экспортировать в спрайтшиты и использовать в играх. А ещё внутри есть скилл для Claude Code, который помогает создавать собственные эффекты, и гайд, как вайбкодить красивые пиксельные эффекты.

Открываем свою геймдев-студию 🎮

Оркестрация пяти агентов выглядит как-то так 😂

ИИ теперь может тестировать и проходить ваши игры за вас — разработчики выложили в опенсорс Autopilot, агента, который играет и ищет баги! 😨

Ему можно поручить вообще всё: проверить фичу, найти проблемы на карте или победить босса, сохранив минимум 20% здоровья. Агент сам запускает игру, управляет персонажем и после прохождения выдаёт полноценный отчёт. Причём с каждой попыткой он запоминает особенности игры и учится играть лучше. Работает с Unreal Engine, Unity и Godot на Windows и macOS.

По тестам самих разрабов, Autopilot справляется с игровыми задачами почти вдвое быстрее и успешнее, чем Claude Code.

GitHub здесь. Тестировщики, держитесь 🥲

Ор, в Китае уволили роботов за лень и прогул — железяки даже не прошли испытательный срок в обычном магазине 😂

Компания AGIBOT провела эксперимент и отправила шесть роботов-гуманоидов на 24-часовую смену: они обслуживали покупателей, готовили кофе, раскладывали товары и убирались. Всего за сутки они выполнили 1730 задач, но двоих все-таки так и не взяли в штат.

— Первый слишком лениво проверял полки и не проявлял инициативы (понимаю). Начальство заметило и пожаловалось на недостаток рабочего энтузиазма.

— Второй же во время ночной смены обнаружил переполненную мусорку и… самовольно уехал в неизвестном направлении из магазина искать другую.

Слишком вжились в роль обычных работяг 🚬

Передать привет близким можно даже через космос — WB и Роскосмос запустили совместный проект, в котором пожелания россиян отправятся на Международную космическую станцию ❤️

Для участия достаточно до 9 ноября оставить сообщение на специальном сайте. Все послания станут частью огромного логотипа маркетплейса, который доставят на МКС. Ещё бренд подготовил сюрприз для самих космонавтов — что именно лежит в посылке, расскажут позже.

А 24 ноября в прямом эфире на Wibes можно будет собрать корзину товаров с космическим вайбом, которые пригодятся для подготовки в космонавты и полета в космос.

Шопинг вышел за пределы Земли.

Полезное: нашёл целую бесплатную библиотеку механических клавиатур, которые можно собрать дома ⌨️

Внутри ScottoKeebs коллекция из 19+ открытых проектов клавиатур и макропадов. Для каждого есть файлы корпуса, схемы подключения и прошивки, а большинство корпусов помещаются на обычный 3D-принтер с областью печати 220 × 220 мм.

Все файлы проектов бесплатны, остаётся только обзавестись комплектующими и засесть осенним вечерком.

Забираем 🧣

OpenAI взломала Linux почти тысячей способов — и потратила на это всего лишь... $1 200 000

ИИ-агенты проверили ядро Linux, подтвердили 1724 уязвимости и создали 948 уникальных рабочих эксплойтов для повышения привилегий. Заодно сгенерировали патчи для проверки разработчиками.

Один взлом обошёлся в среднем в $1279.

Похоже, скоро единственной защитой останется лимит токенов 😢

Инженеры KTS выкатили на Хабре бодрый разбор того, как восстанавливали прод заказчика после атак на дата-центры Яндекса.

После сбоя основной площадки команде пришлось перенести инфраструктуру и данные в другое облако, поэтапно запустить сервисы и проверить работу приложений. Что помогло вернуть критичные сервисы менее чем за сутки:

— Проверенные бэкапы. Инженеры ещё до аварии тестили восстановление, поэтому не пришлось проверять работоспособность копий в разгар инцидента;
— Terraform, Ansible и документация. Часть инфраструктуры уже была описана в коде, а известные зависимости и порядок запуска — задокументированы;
— Не всё зависит от DevOps. Можно быстро раскатать окружение, а потом ждать снапшоты от поддержки, выгрузку данных из S3 или свободные мощности у нового провайдера.

Главный вывод: бэкап считается рабочим не тогда, когда он успешно создался, а когда из него удалось восстановить систему.

Сохраняем, чтобы не чинить прод по памяти ☺️

Осталось повторить 🥲

OpenAI выкатила GPT-6 Cyber — нейросеть, которую специально обучили взламывать софт 😭

Результаты впечатляют:

— 81 новая опасная дыра в Firefox;
— Именно она нашла 948 эксплойтов для получения root в Linux;
— 95% успешных атак на тестовые серверы в RemoteExploitBench;
— На ExploitGym модель набрала 48,5% против 32,1% у предшественника.

При этом её научили соблюдать границы разрешённых атак — до 100% успешности в тестах.

Пока доступ только проверенным ИБ-специалистам через Daybreak Red.

ХАЛЯВА для 3D-художников и разработчиков игр — Epic Games делает всю библиотеку 3D-ассетов Quixel Megascans бесплатной 😳

Это более 20 тысяч фотореалистичных 3D-моделей, текстур и материалов для создания игровых миров и визуализаций. Все они к 12 ноября постепенно станут бесплатными.

Тем же, кто покупал ассеты с января 2025 года, вернут деньги (!!) на баланс Epic Games. А ещё они разрешили использовать материалы для обучения ИИ-моделей. Подарок какой-то.

Забираем на Fab 🤓

@xor_journal